Se ha identificado una nueva vulnerabilidad de seguridad en teléfonos inteligentes iPhone y tabletas iPad, que involucra perfiles de aprovisionamiento iOS maliciosos. No se han encontrado ejemplos vivos de un ataque de esta naturaleza, sin embargo, se ha desarrollado una prueba de concepto.
Los perfiles de aprovisionamiento (archivos de configuración móvil) controlan la configuración de iOS, como las configuraciones de red. Los desarrolladores de software de iPhone y iPad los utilizan para instalar aplicaciones de desarrollo de iOS en un dispositivo. Los desarrolladores de software usan simuladores de software cuando desarrollan nuevas aplicaciones iOS, sin embargo, en algún momento del ciclo de desarrollo de software, la aplicación debe probarse en un dispositivo real antes de cargarla en la AppStore. Aquí es donde se utilizan los perfiles de aprovisionamiento: permiten al desarrollador probar en un iPhone o iPad real. Apple permite a cada desarrollador aprovisionar hasta 100 dispositivos. Solo se necesita un toque para instalar un perfil de aprovisionamiento en el iPhone / iPad.
Un perfil de aprovisionamiento malintencionado podría alterar la configuración de red del dispositivo para que todo el tráfico posterior del dispositivo se enrute a través de un servidor controlado por el atacante. Esto permitiría al atacante leer los datos que se transmiten, incluidos datos confidenciales como inicios de sesión bancarios, nombres de usuario y contraseñas, etc.
iOS ha sido mucho más seguro que otros sistemas operativos móviles como Android. Dos características principales contribuyen a la alta seguridad de Apple: verificación de aplicaciones y sandboxing. Todas las aplicaciones de iOS se analizan cuidadosamente antes de ser permitidas en la AppStore, excluyendo con éxito la mayoría de las funciones maliciosas. Sandboxing garantiza que cada aplicación que se ejecuta en iOS esté aislada de otras aplicaciones y datos externos. Este aislamiento limita los permisos y capacidades de la aplicación y asegura los datos ingresados en la aplicación desde otras aplicaciones en el dispositivo.
Es muy posible que los usuarios de iPhone / iPad sean engañados para instalar un perfil de aprovisionamiento malicioso a través de la ingeniería social. La compañía de seguridad que destacó esta vulnerabilidad ha mostrado cómo los usuarios pueden ser atraídos a instalar un perfil malicioso para supuestamente configurar su dispositivo para recibir acceso gratuito a películas o programas de TV populares, o para mejorar el rendimiento de la batería. Es bastante factible que técnicas de ingeniería social como estas tengan éxito en engañar a los usuarios de iPhone / iPad. Los perfiles de aprovisionamiento también son utilizados por operadores de telefonía celular, soluciones de administración de dispositivos móviles y otras aplicaciones móviles.
Los usuarios de iPhone y iPad deben tener cuidado al instalar perfiles de aprovisionamiento y solo deben hacerlo desde fuentes confiables.
Hasta el momento, no se han encontrado perfiles de aprovisionamiento maliciosos en la naturaleza. Sin embargo, esto no significa que no haya habido ataques. ¿Qué tan grande es la amenaza de esta vulnerabilidad?
• Una restricción sobre el alcance de esta amenaza es el límite de 100 dispositivos por desarrollador: esta vulnerabilidad solo se puede usar para ataques muy centrados y limitados.
• Sin embargo, para el punto de acceso inicial en una amenaza persistente avanzada (APT), este método podría ser extremadamente peligroso. La primera fase de un APT es para que el atacante obtenga acceso de alto nivel al sistema. Los perfiles de aprovisionamiento de iOS maliciosos pueden ofrecer esta oportunidad.
Esta prueba de concepto ha demostrado que incluso los sistemas relativamente seguros, como iOS, tienen debilidades y posibles vectores de ataque.
Más información:
Dave Waterson sobre seguridad
